Konkret Health ehf.

Persónuverndarstefna

Síðast uppfært 27. ágúst 2026.

Þessi stefna á við um Konkret Health ehf. sem ábyrgðaraðila. Hún tekur ekki til sjúkraskrárupplýsinga sem stofa færir í kerfið; um þau gögn er stofan ábyrgðaraðili og gefur út sína eigin persónuverndaryfirlýsingu.
An English version follows below.

Persónuverndarstefna

1. Um þessa stefnu

Þessi stefna lýsir því hvernig Konkret Health ehf. vinnur persónuupplýsingar þar sem félagið er sjálft ábyrgðaraðili í skilningi 4. gr. reglugerðar (ESB) 2016/679 (GDPR) og laga nr. 90/2018: upplýsingar um tengiliði og starfsfólk viðskiptavina okkar (heilbrigðisstofa), reikningsgerð, almenn samskipti og heimsóknir á vefsvæði okkar.

Stefnan tekur ekki til sjúkraskrárupplýsinga eða annarra gagna sem stofa færir í sjúkraskrárkerfið Konkret. Um þau gögn er stofan ábyrgðaraðili og Konkret Health vinnsluaðili samkvæmt sérstökum vinnslusamningi, og um fræðslu til sjúklinga fer samkvæmt persónuverndaryfirlýsingu sem stofan gefur út í eigin nafni.

2. Ábyrgðaraðili og persónuverndarfulltrúi

Konkret Health ehf., kt. 7006262450, Reynihlíð 9, 105 Reykjavík. Netfang: konkret@konkret.is.

Persónuverndarfulltrúi: Drífa Jenný Helgadóttir, personuvernd@konkret.is.

3. Hvaða upplýsingar við vinnum og í hvaða tilgangi

  1. Viðskiptatengsl við stofur. Nafn, netfang, símanúmer og starfsheiti tengiliða og ábyrgðarmanna stofu, ásamt samningsgögnum, í þeim tilgangi að stofna til og efna samning um þjónustuna. Staðfestingar á skilmálum eru skráðar með rafrænt staðfestu auðkenni, tímastimpli og útgáfunúmeri, til sönnunar á samningsgerð.
  2. Reikningsgerð og bókhald. Upplýsingar sem þarf til að gefa út reikninga og halda lögboðið bókhald.
  3. Samskipti. Upplýsingar sem þú lætur okkur í té þegar þú hefur samband, svo sem nafn, netfang og efni erindis, í þeim tilgangi að svara erindinu.
  4. Rekstur og öryggi kerfisins. Tæknilegar skrár um notkun kerfisins, svo sem IP-tölur, auðkenni notenda og tímasetningar aðgerða, í þeim tilgangi að reka þjónustuna, tryggja öryggi hennar og upplýsa öryggisatvik.

4. Lagagrundvöllur

5. Vafrakökur og greiningartæki

Vefsvæði okkar nota hvorki greiningartæki þriðja aðila né vafrakökur í auglýsinga- eða markaðsskyni. Í innskráðum hluta kerfisins er notuð ein nauðsynleg vafrakaka (__opta_sid) sem heldur utan um innskráða setu; án hennar er ekki hægt að veita þjónustuna. Hún er ekki notuð til að rekja notendur milli vefsvæða.

6. Móttakendur upplýsinga

Við seljum aldrei persónuupplýsingar. Við deilum þeim aðeins með:

7. Flutningur út fyrir EES

Upplýsingarnar eru hýstar innan Evrópska efnahagssvæðisins og enginn fastur flutningur persónuupplýsinga út fyrir EES á sér stað við venjulegan rekstur.

8. Varðveisla

9. Réttindi þín

Samkvæmt 15.–22. gr. GDPR átt þú rétt á aðgangi að upplýsingum um þig, leiðréttingu, eyðingu (með þeim takmörkunum sem lagaskyldur setja), takmörkun vinnslu, andmælum og flutningi gagna. Til að nýta réttindin hafðu samband við personuvernd@konkret.is; við svörum án ástæðulausrar tafar og eigi síðar en innan eins mánaðar.

Telir þú að vinnslan brjóti í bága við lög máttu kvarta til Persónuverndar: personuvernd.is, postur@personuvernd.is, Rauðarárstígur 10, 105 Reykjavík.

10. Breytingar á stefnunni

Við kunnum að uppfæra stefnuna og birtum þá nýja útgáfu með nýrri dagsetningu. Verði efnisbreytingar tilkynnum við tengiliðum viðskiptavina þær sérstaklega.

Privacy policy (English)

1. About this policy

This policy describes how Konkret Health ehf. processes personal data where the company is itself the controller within the meaning of Art. 4 of Regulation (EU) 2016/679 (GDPR) and Icelandic Act no. 90/2018: contact details of our clinic customers, billing, general communications, and visits to our websites.

This policy does not cover health-record information or other data a clinic enters into the Konkret health-record system. For that data the clinic is the controller and Konkret Health the processor under a separate data processing agreement, and patients are informed through a privacy notice the clinic issues in its own name.

2. Controller and data protection officer

Konkret Health ehf., reg. no. 7006262450, Reynihlíð 9, 105 Reykjavík, Iceland. Email: konkret@konkret.is.

Data protection officer: Drífa Jenný Helgadóttir, personuvernd@konkret.is.

3. What we process and why

  1. Customer relationships. Name, email, phone number and job title of a clinic's contact persons and responsible officers, together with contract records, in order to enter into and perform the service agreement. Acceptances of terms are recorded with a verified identity, timestamp and version number, as evidence of contract formation.
  2. Billing and accounting. Information needed to issue invoices and keep statutory accounts.
  3. Communications. Information you provide when you contact us, such as name, email and the content of your enquiry, in order to respond.
  4. Operation and security. Technical logs of system use, such as IP addresses, user identifiers and timestamps, in order to operate the service, keep it secure and investigate security incidents.

4. Lawful basis

  • Performance of a contract, or steps at your request before entering one (GDPR Art. 6(1)(b)): items 1 and 3 above.
  • Legal obligation (Art. 6(1)(c)): item 2, under the Icelandic accounting act.
  • Legitimate interests (Art. 6(1)(f)): item 4, namely the security and operation of the service and the establishment or defence of legal claims.

5. Cookies and analytics

Our websites use no third-party analytics and no advertising or marketing cookies. The signed-in part of the system uses a single strictly necessary cookie (__opta_sid) that maintains the signed-in session; the service cannot be provided without it. It is not used to track users across sites.

6. Recipients

We never sell personal data. We share it only with:

  • Our processors: Google Cloud (hosting within the EEA) and Resend (email delivery). Invoicing takes place in an external accounting system. A data processing agreement is in place with each processor.
  • Kenni.is (Kenni ehf., reg. no. 510124-0300) for electronic authentication; Kenni.is is an independent controller under its own terms.
  • Public authorities where we are required to by law or a binding demand.

7. Transfers outside the EEA

The data is hosted within the European Economic Area, and no permanent transfer of personal data outside the EEA occurs in normal operation.

8. Retention

  • Contract and contact records: for the contract term and until potential claims under the contract are time-barred.
  • Accounting records: seven years under the Icelandic accounting act.
  • Communications: while an enquiry is being handled and for a reasonable period afterwards.
  • Operational and security logs: for a limited period consistent with their purpose, unless a security incident or a legal obligation requires longer retention.

9. Your rights

Under GDPR Art. 15-22 you have the rights of access, rectification, erasure (subject to statutory limits), restriction, objection and data portability. To exercise them, contact personuvernd@konkret.is; we respond without undue delay and at the latest within one month.

If you believe the processing breaches the law, you may complain to the Icelandic Data Protection Authority (Persónuvernd): personuvernd.is, postur@personuvernd.is, Rauðarárstígur 10, 105 Reykjavík, Iceland.

10. Changes

We may update this policy and will publish a new version with a new date. Material changes are notified separately to customer contacts.